Накратко: При уебсайта на лекарската практика става дума за сигурност на здравни данни, а не само за визитна картичка в мрежата. Проверете кои форми съхраняват данни или ги изпращат по имейл, поискайте писмено потвърждение за състоянието на пача на PHP на сървъра и при съмнение запазете веднага логовете.
Какви PHP системи работят в практики и MVZ
Повечето уебсайтове на практики се основават на PHP CMS, често WordPress, по-рядко TYPO3 или Joomla. Интересно става при допълнителните функции: форми за заявки за рецепти и направления, анамнестични въпросници за изтегляне или качване, записвания за напомняне (recall), обяви за работа с качване на документи и онлайн записване на час.
Записването на час често е външна услуга, която само се вгражда. Тогава данните за часовете се намират при доставчика. Някои практики обаче използват добавки за резервации, които съхраняват часовете заедно с причината за посещението в собствената база данни на уебсайта. Именно тази разлика трябва да знаете, преди да оцените риска.
Здравни данни: защо уебсайтът е по-чувствителен, отколкото изглежда
Изречение като „Отново ми трябва лекарството за кръвно налягане“ в контактната форма представлява здравни данни. Подобни сведения спадат към специалните категории лични данни по чл. 9 от ОРЗД. За лекарите важи допълнително и задължението за мълчание, чието нарушение може да бъде наказуемо по § 203 StGB (германския Наказателен кодекс, германски закон).
За уебсайта това означава: записите от формите, които остават в базата данни, копията във форм добавките, логовете на имейлите на сървъра и качените документи са достъпни при атака. Който изпълнява код на сървъра, по правило ги чете.
Накарайте да се провери дали Вашата форм добавка съхранява записите допълнително в базата данни. Много от тях го правят по подразбиране. Което не е съхранено, не може и да изтече.
Какво означава отпадането на сайта или изтичането на данни за практиката
Ако уебсайтът отпадне, пациентите се обаждат по телефона, а телефонът на практиката и без това е натоварен. Това е неприятно, но е управляемо. По-тежък е пробивът, останал незабелязан: пренасочвания към измамни страници от името на практиката, фалшиви форми или прихванати запитвания, свързани с заболявания.
Подобен инцидент може да породи задължения за уведомяване пред надзорния орган по защита на данните, според риска и за уведомяване на засегнатите лица. 72-часовият срок по ОРЗД започва да тече, щом узнаете за нарушението. Изяснете оценката със своето длъжностно лице по защита на данните.
Уебсайт на лекарска практика и сигурност: типичната празнина в отговорностите
В практиките обикновено има трима участници, всеки от които се чувства отговорен за част от нещата:
| Участник | По правило се занимава с | Често не е в полезрението |
|---|---|---|
| ИТ изпълнител на практиката | PVS (система за управление на практиката), мрежа, конектор, работни места | Сървърът на уебсайта при хостинг доставчика |
| Уеб агенция | Дизайн, съдържание, добавки | Версията на PHP и рестартирането на сървъра |
| Хостинг доставчик | Експлоатация на сървъра | Данните от формите и добавките на практиката |
При PHP2Shell уязвимостта е точно между тези роли: в PHP на уеб сървъра. При споделен хостинг обикновено отговаря хостинг доставчикът, но потвърждението за състоянието на пакета трябва да поискате сами. В MVZ с няколко обекта често се добавя и собственикът-оператор, който има собствени изисквания.
Има ли мост между уебсайта и мрежата на практиката?
Най-често уебсайтът на практиката е при хостинг доставчик и няма пряка връзка със системата за управление на практиката. Има обаче изключения, които трябва да знаете: форми, които прехвърлят данни автоматично в PVS, сървър на уебсайта в собствения център за данни на MVZ или данни за достъп, използвани едновременно за уебсайта, пощенските кутии и отдалечената поддръжка.
В такива случаи компрометираният уеб сървър не е само проблем на уебсайта. Накарайте ИТ изпълнителя на практиката и поддръжника на уебсайта да проверят заедно какви връзки съществуват и кои пароли се използват многократно. За ИТ на практиката важат освен това изискванията на Kassenärztliche Bundesvereinigung (Федералното сдружение на лекарите по здравно осигуряване в Германия) за ИТ сигурност. До каква степен те засягат уебсайта, изяснете със своето длъжностно лице по защита на данните.
Първите часове след предупреждение
- Попитайте хостинг доставчика дали PHP е на 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или е внесен backport, и дали всички PHP процеси са рестартирани.
- Ако това не е потвърдено: изключете уебсайта временно или го заменете със статична страница с указания и телефонни часове, както BSI (Федералната служба за информационна сигурност на Германия) препоръчва за сървъри, които не могат да бъдат пачнати.
- Запазете логовете на сървъра и на достъпа от 20.10.2026 г.
- Обърнете внимание на признаците за компрометиране: непознати файлове, нови администраторски акаунти, променени пренасочвания.
- Включете длъжностното лице по защита на данните рано, а не едва след почистването.
Как помага PHP SOS конкретно?
- Уточняваме с хостинг доставчика и с агенцията кой пачва и рестартира PHP и осигуряваме потвърждение със състоянието на пакета.
- Проверяваме къде на уеб сървъра се намират данни от форми, качени файлове и копия на имейли и дали съществуват връзки към мрежата на практиката.
- При съмнение запазваме следите, търсим уеб шелове и почистваме сървъра в рамките на нашата спешна помощ при хакнати уебсайтове.
- Документираме инцидента така, че Вашето длъжностно лице по защита на данните да може да оцени задължението за уведомяване.
- След това намаляваме съхраняваните данни и заздравяваме сървъра, за да е заложено по-малко следващия път.
Често задавани въпроси
Засегнат ли е софтуерът на моята практика от PHP2Shell?
Системата за управление на практиката и достъпът до телематичната инфраструктура (германската здравна мрежа) по правило работят отделно от уебсайта. Засегнати са PHP уеб сървърите, т.е. най-често уебсайтът на практиката и свързаните с него форми или портали. Дали има връзки между уебсайта и мрежата на практиката, трябва да провери Вашият ИТ изпълнител.
Здравни данни ли са данните от контактната форма?
Често да. Още молбата за повторна рецепта или желанието за час поради определени оплаквания позволява изводи за здравето. Такива данни спадат към специалните категории по чл. 9 от ОРЗД. Точната класификация изяснете със своето длъжностно лице по защита на данните.
Трябва ли да информирам пациентите, ако уебсайтът е бил хакнат?
Това зависи от това дали са засегнати лични данни и колко е високият риск за пациентите. При здравни данни рискът често е висок. Решението вземате със своето длъжностно лице по защита на данните, при нужда с правна консултация.
Кой отговаря за PHP актуализациите на уебсайта на практиката?
Това е записано в хостинг договора или в договора за поддръжка. При споделен и при управляван хостинг пачва най-често хостинг доставчикът, а при собствен сървър – възложеният изпълнител. Ако липсва ясна уредба, сега е моментът да я фиксирате писмено.